搜索

[13982] 2019-04-13_使用Sboxr实现DOMXSS漏洞的自动挖掘与利用

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-18
2019-04-13_使用Sboxr实现DOMXSS漏洞的自动挖掘与利用 使 用 S b o x r 实 现 D O M   X S S 漏 洞 的 自 动 挖 掘 与 利 用 s e c i s t   F r e e B u f   2 0 1 9 - 0 4 - 1 3 这 一 系 列 文 章 将 为 大 家 展 示 如 何 在 单 页 或 这 一 系 列 文 章 将 为 大 家 展 示 如 何 在 单 页 或 J a v a S c r i p t 富 应 用 上 ， 使 用 富 应 用 上 ， 使 用 S b o x r 实 现 实 现 D O M   X S S 漏 洞 的 自 动 挖 掘 与 利 漏 洞 的 自 动 挖 掘 与 利 用 。 我 们 将 以 用 。 我 们 将 以 h t t p s : / / d o m g o . a t 靶 场 中 的 靶 场 中 的 1 0 个 个 D O M   X S S 的 小 练 习 为 例 ， 并 为 检 测 到 的 问 题 创 建 简 单 的 的 小 练 习 为 例 ， 并 为 检 测 到 的 问 题 创 建 简 单 的 P o C 。 。 本 文 包 含 了 前 两 个 练 习 的 设 置 说 明 和 解 决 方 案 。 其 余 的 我 们 将 在 后 续 的 文 章 中 陆 续 为 大 家 呈 现 。 我 们 还 将 在 A p p s e c c o   b o o k s 发 布 一 个 g i t b o o k ， 其 中 包 含 了 所 有 练 习 的 解 决 方 案 ， 网 址 为 h t t p s : / / a p p s e c c o . c o m / b o o k s / 。 什 么 是 什 么 是   D O M   X S S / C l i e n t   X S S ？ ？ 纵 观 X S S 的 历 史 ， D O M 或 客 户 端 X S S 在 测 试 者 和 开 发 人 员 的 心 中 都 占 有 着 特 殊 的 地 位 。 使 用 标 准 的 X S S 检 测 技 术 往 往 很 难 检 测 到 它 们 ， 这 种 X S S 漏 洞 大 多 发 生 在 J S 富 应 用 上 。 D O M 型 X S S 漏 洞 是 基 于 文 档 对 象 模 型 ( D o c u m e n t   O b j e e t   M o d e l ， D O M ) 的 一 种 漏 洞 。 D O M 是 一 个 与 平 台 、 编 程 语 言 无 关 的 接 口 ， 它 允 许 程 序 或 脚 本 动 态 地 访 问 和 更 新 文 档 内 容 、 结 构 和 样 式 ， 处 理 后 的 结 果 能 够 成 为 显 示 页 面 的 一 部 分 。 D O M 中 有 很 多 对 象 ， 其 中 一 些 是 用 户 可 以 操 纵 的 ， 如 u R I   ， l o c a t i o n ， r e f e l T e r 等 。 客 户 端 的 脚 本 程 序 可 以 通 过 D O M 动 态 地 检 查 和 修 改 页 面 内 容 ， 它 不 依 赖 于 提 交 数 据 到 服 务 器 端 ， 而 从 客 户 端 获 得 D O M 中 的 数 据 在 本 地 执 行 ， 如 果 D O M 中 的 数 据 没 有 经 过 严 格 确 认 ， 就 会 产 生 D O M 型 X S S 漏 洞 。 S b o x r S b o x r 是 一 个 用 于 测 试 和 调 试 W e b 应 用 程 序 的 工 具 ， 尤 其 是 那 些 拥 有 大 量 J a v a S c r i p t 的 应 用 程 序 。 S b o x r 处 在 浏 览 器 和 服 务 器 之 间 运 作 ， 并 注 入 它 自 己 的 J S 代 码 （ 被 称 为 D O M 传 感 器 ） ， 来 监 控 J S 使 用 ， 源 ， 接 收 器 ， 变 量 分 配 ， 函 数 调 用 等 。 然 后 ， 它 会 通 过 其 W e b 控 制 台 展 示 用 户 控 制 的 数 据 的 视 图 。 设 置 设 置   S b o x r   和 和   C h r o m e 这 里 我 使 用 的 系 统 为 U b u n t u   1 8 . 0 4 ， 浏 览 器 为 C h r o m e   7 2 。 你 可 以 遵 循 以 下 步 骤 进 行 设 置 ： 获 取 S b o x r   -   h t t p s : / / s b o x r . c o m / S b o x r 需 要 . N E T   C o r e   S D K 的 支 持 ， 你 可 以 按 照 h t t p s : / / d o t n e t . m i c r o s o f t . c o m / d o w n l o a d / l i n u x - p a c k a g e - m a n a g e r / u b u n t u 1 8 - 0 4 / s d k - c u r r e n t 上 的 说 明 ， 在 L i n u x 上 进 行 安 装 。 如 果 是 W i n d o w s ， 请 按 照 h t t p s : / / d o t n e t . m i c r o s o f t . c o m / d o w n l o a d 上 的 说 明 进 行 操 作 安 装 完 成 后 ， 通 过 运 行 d o t n e t   S b o x r . d l l 启 动 S b o x r
这 将 在 3 3 3 3 端 口 上 启 动 S b o x r   W e b 界 面 （ 用 于 管 理 和 分 析 发 现 的 问 题 ） ， 端 口 3 3 3 1 为 代 理 端 口 。 如 果 你 希 望 使 用 B u r p 或 其 他 代 理 ， 请 浏 览 到 h t t p : / / l o c a l h o s t : 3 3 3 3 / c o n s o l e ， 并 单 击 H T T P   S e n s o r 设 置 上 游 代 理 （ 例 如 B u r p 或 O W A S P   Z A P ） 的 I P 地 址 和 端 口 。 设 置 完 成 后 ， 我 们 还 需 要 配 置 浏 览 器 向 S b o x r 发 送 流 量 （ 然 后 可 以 转 发 到 B u r p 或 O W A S P   Z A P ） 。 S b o x r 目 前 尚 不 支 持 S O C K S 代 理 ， 因 此 你 需 要 使 用 B u r p 或 O W A S P   Z A P 拦 截 流 量 。 如 果 是 H T T P S 站 点 S b o x r 可 能 无 法 正 常 工 作 ， 因 为 没 有 要 导 入 的 证 书 。 因 此 ， 我 们 使 用 带 有 - - i g n o r e - c e r t i f i c a t e - e r r o r s 标 记 的 C h r o m e 忽 略 证 书 错 误 。 在 L i n u x 上 ， 命 令 如 下 ： 在 W i n d o w s 上 ， 操 作 如 下 （ 假 设 为 默 认 安 装 路 径 ） ： D O M   X S S   的 检 测 和 利 用 的 检 测 和 利 用 下 面 我 将 为 大 家 展 示 前 两 个 D O M 型 X S S 的 小 练 习 。 E x e r c i s e   1 打 开 h t t p s : / / d o m g o . a t / ， 然 后 单 击 左 侧 选 项 栏 中 的 E x e r c i s e   1 。 切 换 到 S b o x r 控 制 台 ， 并 单 击 S b o x r 侧 栏 中 的 C o d e   E x e c u t i o n m k d i r   - p   ~ / . c h r o m e ; / o p t / g o o g l e / c h r o m e / c h r o m e   - i n c o g n i t o   - - i g n o r e - c e r t i f i c a t e - e r r o r s   - - p r o x y - s e r v e r = h t t p = h t t p : / / l o c a l h o s t : 3 3 3 1 ; h t t p s = h t t p : / / l o c a l h o s t : 3 3 3 1   - - u s e r - d a t a - d i r = ~ / . c h r o m e " C : P r o g r a m   F i l e s   ( x 8 6 ) G o o g l e C h r o m e A p p l i c a t i o n c h r o m e . e x e "   - i n c o g n i t o   - - i g n o r e - c e r t i f i c a t e - e r r o r s   - - p r o x y - s e r v e r = h t t p = h t t p : / / l o c a l h o s t : 3 3 3 1 ; h t t p s = h t t p : / / l o c a l h o s t : 3 3 3 1   - - u s e r - d a t a - d i r = " C : U s e r s % U s e r n a m e % A p p D a t a L o c a l T e m p T e s t C h r o m e P r o x y "
从 H T M L 上 下 文 中 可 以 看 出 ， 数 据 源 是 l o c a t i o n . h a s h p r o p e r t y ， 执 行 的 接 收 器 是 H T M L E l e m e n t . i n n e r H T M L 单 击 “ V i e w   C o d e   E x e c u t i o n ” 图 标 ， 你 将 看 到 代 码 执 行 的 详 细 流 程 。
通 过 单 击 V i e w   e v e n t   l o c a t i o n   d e t a i l s 图 标 ， 我 们 可 以 清 楚 地 看 到 J S 中 我 们 的 数 据 在 哪 里 被 接 收 器 H T M L E l e m e n t . i n n e r H T M L 所 使 用 为 了 展 示 l o c a t i o n . h a s h 属 性 是 可 利 用 的 ， 我 们 通 过 源 传 递 J S 并 让 它 到 达 接 收 器 以 查 看 它 是 否 被 执 行 。 我 插 入 了 E x e r c i s e   2 单 击 侧 栏 的 E x e r c i s e   1 以 加 载 E x e r c i s e   1 单 击 侧 栏 上 的 E x e r c i s e   2 以 加 载 E x e r c i s e   2 。 记 住 ， 必 须 通 过 单 击 访 问 而 不 是 直 接 打 开 U R L ， 因 为 本 练 习 中 的 源 为 d o c u m e n t . r e f e r r e r 属 性 。 单 击 S b o x r 侧 栏 中 的 “ V i e w   C o d e   E x e c u t i o n ” 图 标 我 们 从 易 受 攻 击 的 代 码 中 可 以 看 到 ， 如 果 U R L 中 有 一 个 名 为 p a y l o a d 的 参 数 ， 则 将 其 提 取 并 传 递 给 接 收 器 。 我 们 可 以 使 用 以 下 简 单 的 H T M L 页 面 构 建 我 们 的 e x p l o i t 。 将 其 保 存 为 e x e r c i s e 2 . h t m l 并 在 本 地 托 管 （ n g i n x / A p a c h e / p y t h o n / n o d e / a n y t h i n g ） ， 并 通 过 h t t p : / / 1 2 7 . 0 . 0 . 1 / e x e r c i s e 2 . h t m l ? p a y l o a d = < s v g % 2 0 o n l o a d = a l e r t ( d o c u m e n t . d o m a i n ) > 链 接 进 行 利 用 ： < / s v g % 2 0 o n l o a d = a l e r t ( d o c u m e n t . d o m a i n ) >
该 页 面 将 加 载 并 立 即 重 定 向 到 练 习 页 面 ， 因 为 r e f e r r e r 属 性 是 用 户 可 控 的 所 以 代 码 执 行 是 可 能 的 。 以 上 就 是 本 文 的 全 部 内 容 ， 在 接 下 来 的 几 天 内 我 们 将 陆 续 发 布 剩 余 的 练 习 演 示 。 感 谢 阅 读 ！ 参 考 文 献 参 考 文 献 S b o x r   —   h t t p s : / / s b o x r . c o m D O M / C l i e n t   X S S   —   h t t p s : / / w w w . o w a s p . o r g / i n d e x . p h p / T y p e s o f C r o s s - S i t e S c r i p t i n g # D O M B a s e d X S S . 2 8 A K A _ T y p e - 0 . 2 9 C h r o m e   命 令 行   —   h t t p s : / / d e v . c h r o m i u m . o r g / d e v e l o p e r s / h o w - t o s / r u n - c h r o m i u m - w i t h - f l a g s * 参 考 来 源 ： 参 考 来 源 ： a p p s e c c o ， ， F B 小 编 小 编 s e c i s t 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 荐 阅 读 推 荐 阅 读 < h t m l >         < b o d y >                 < h 2 > P o C   f o r   E x e r c i s e   2   o f   h t t p s : / / d o m g o . a t < / h 2 >                 < s c r i p t >                         w i n d o w . l o c a t i o n = " h t t p s : / / d o m g o . a t / c x s s / e x a m p l e / 2 "                 < / s c r i p t >         < / b o d y > < / h t m l >
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理